Glossar

Von der EU-Kommission am 3. Juni 2026 vorgeschlagene Verordnung, die Europas Rückstand bei Rechenzentren und Cloud-Kapazitäten verringern soll. Der Entwurf sieht verbindliche Souveränitätsstufen für Cloud-Dienste vor, dazu Kapazitätsziele und einen Bezug zu den NIS2-Sektoren. Das Cloud Sovereignty Framework hat diese Bindung nicht, es ordnet allein die Beschaffung der Kommission. Der CADA soll bindendes Recht werden, steht aber noch im Trilog, und die Ausgestaltung der Souveränitätsstufen ist politisch umstritten.

Das Cloud Sovereignty Framework der EU-Kommission von Oktober 2025 macht Cloud-Souveränität für die öffentliche Beschaffung messbar. Es bewertet ein Angebot anhand von acht Souveränitätszielen, den SOV-Objectives. Dazu gehört die Rechtsordnung, unter welcher der Anbieter steht. Auch die Lieferkette der eingesetzten Technik zählt dazu und die Sicherheit im laufenden Betrieb. Aus diesen Zielen bildet das Framework fünf Stufen, die Sovereignty Effectiveness Assurance Levels (SEAL). SEAL-0 steht für keine Souveränität, SEAL-4 für volle EU-Kontrolle ohne kritische Abhängigkeiten außerhalb der Union. Die Einstufung folgt dem schwächsten Glied: Ein Angebot erreicht nur die Stufe, die sein schlechtestes Souveränitätsziel zulässt. Das Framework ordnet die Beschaffung der Kommission und ist kein bindendes Recht.

Technik, welche Daten auch während der Verarbeitung im Arbeitsspeicher verschlüsselt hält. Möglich machen das hardwaregestützte, isolierte Ausführungsumgebungen. Ein Baustein, um Betreiberzugriff in der Cloud technisch auszuschließen und damit Souveränität nachzuweisen.

Unter DORA als kritisch eingestufter IKT-Drittdienstleister. CTPPs, darunter die großen Hyperscaler, unterliegen einem gemeinsamen Oversight der europäischen Aufsichtsbehörden mit einem Lead Overseer. Die erste Liste (November 2025) umfasste 19 Anbieter.

„Cloud-Souveränität” umfasst drei Fragen, die oft vermischt werden. Die Datenresidenz beschreibt, wo die Daten physisch liegen. Davon zu trennen ist die Betreiberkontrolle, also wer technisch und operativ auf sie zugreifen kann. Hinzu kommt die Jurisdiktion: Welchem Recht unterliegt der Anbieter, etwa mit Blick auf den US CLOUD Act? Ein belastbares Souveränitätsniveau ergibt sich erst aus allen drei Aspekten zusammen.

EU-Verordnung, die seit dem 17. Januar 2025 einheitliche Anforderungen an die digitale operationelle Resilienz des gesamten Finanzsektors stellt: IKT-Risikomanagement, Meldung schwerwiegender Vorfälle, Resilienztests und ein Register aller IKT-Dienstleistungen. Erstmals unterliegen auch kritische IKT-Drittanbieter einer direkten EU-Aufsicht.

Europäische Brieftasche für digitale Identität nach eIDAS 2.0. Mitgliedstaaten müssen sie bis Ende 2026 anbieten. Banken müssen sie ab Ende 2027 akzeptieren, auch für die starke Kundenauthentifizierung (SCA) bei Zahlungen.

Grundlegend überarbeitetes Regelwerk für Marktrisiken im Handelsbuch. In der EU treten die FRTB-Eigenmittelanforderungen (verschoben) 2027 in Kraft, mit temporären Erleichterungen bis 2030.

KI-Systeme, die der EU AI Act wegen ihres Einsatzfeldes streng reguliert. Im Bankkontext zählt dazu insbesondere die Kreditwürdigkeitsprüfung. Die zugehörigen Pflichten wurden per Digital Omnibus auf Dezember 2027 verschoben.

Koordinationsnetzwerk der Überwachungsbehörden unter DORA. Im JON stimmen sich die federführenden Behörden (Lead Overseers) der als kritisch eingestuften IKT-Drittdienstleister operativ ab, um über alle Anbieter hinweg einen kohärenten Aufsichtsansatz zu sichern und Doppelarbeit zu vermeiden. Es ergänzt das übergeordnete Überwachungsforum (sektorübergreifende Steuerung, Art. 32) und die operativen gemeinsamen Prüfteams (Joint Examination Teams, Art. 40). Verankert ist das JON in Art. 33–34 der Verordnung (EU) 2022/2554.

Das Risiko, das entsteht, wenn ein großer Teil des Finanzsektors von wenigen Anbietern abhängt, etwa denselben Hyperscalern. Fällt ein solcher Anbieter aus oder wird er unerreichbar, kann das systemische Wirkung entfalten. Es ist das Kernmotiv hinter dem DORA-Oversight und den Exit-Anforderungen.

EU-Verordnung für Kryptowerte, die Emittenten und Dienstleister lizenzpflichtig macht und ein eigenes Regime für Stablecoins schafft. Mit dem Ende der Übergangsfristen Mitte 2026 gilt die Lizenzpflicht vollständig.

EU-Richtlinie (2022/2555) zur Cybersicherheit, EU-weit ab dem 18. Oktober 2024 anzuwenden (nationale Umsetzung teils verzögert). Sie setzt einheitliche Risikomanagement- und Meldepflichten für „wesentliche” und „wichtige” Einrichtungen in kritischen Sektoren, etwa Energie, Verkehr und Finanzwesen. Für den Finanzsektor gilt der Grundsatz lex specialis: Wo DORA speziellere Anforderungen stellt, geht DORA vor. Die Melde- und Aufsichtswelten beider Rechtsakte überlappen sich dennoch und sind nicht vollständig aufgelöst.

Basel-III-Untergrenze, die die mit internen Modellen berechneten Eigenmittelanforderungen auf mindestens 72,5 % der Standardansatz-Werte anhebt. Sie begrenzt, wie stark Banken ihre Kapitalanforderungen durch eigene Modelle senken können, und wird schrittweise eingeführt.

Technische Regulierungsstandards, die eine EU-Rahmenverordnung konkretisieren. Sie werden von den Aufsichtsbehörden (etwa der EBA) entworfen und von der Kommission als delegierte Rechtsakte erlassen. In ihnen stecken oft die Details, auf die es in der Praxis ankommt.

Kryptowert, dessen Wert an eine Referenz gekoppelt ist, meist an eine Währung wie den Euro oder den US-Dollar. Unter MiCA als E-Geld-Token oder wertreferenzierter Token reguliert. Dollar-Stablecoins werfen die Frage nach der europäischen Zahlungsverkehrssouveränität auf.

Bedrohungsgeleitete Penetrationstests: realistische Angriffssimulationen auf produktive Systeme, die DORA für bedeutende Institute vorschreibt. Sie orientieren sich am europäischen TIBER-Rahmenwerk.

Der US CLOUD Act (Clarifying Lawful Overseas Use of Data Act) von 2018 verpflichtet US-Unternehmen, auf Anordnung amerikanischer Behörden Daten herauszugeben, auch wenn diese außerhalb der USA gespeichert sind. Maßgeblich ist nicht der Standort der Server, sondern ob der Anbieter oder sein Mutterkonzern der US-Rechtsordnung untersteht. Damit wirkt das Gesetz extraterritorial und trifft die dritte Dimension der Cloud-Souveränität, die Jurisdiktion. Eine Tochtergesellschaft nach europäischem Recht ändert daran wenig, solange die US-Muttergesellschaft die Kontrolle behält. Ob US-Behörden diesen Zugriff gegen einen europäisch betriebenen Ableger tatsächlich durchsetzen, ist juristisch bislang ungetestet.

Abgleich von Empfängername und Kontonummer (IBAN) vor Auslösung einer Überweisung. Die Instant Payments Regulation macht VoP verpflichtend, um Betrug und Fehlüberweisungen bei Echtzeitzahlungen zu reduzieren.